Gelungene Kooperationsveranstaltung mit der IHK Saarland

Unter dem Titel „Sicher Surfen – WLAN, Verschlüsselung und Werbeblocker“ haben wir in einer gemeinsamen Vortragsverantstaltung mit der IHK Saarland im Gründer- und Mittelstandszentrum in Bexbach darüber berichtet, welche Herausforderungen und Risiken durch die Digitalisierung entstehen und wie man sich als Unternehmen dagegen wappnen kann. Zentraler Bestandteil des Vortrages, über den im Vorfeld auch die Saarbrücker Zeitung berichtet hatte, war die Sicherheit von WLAN sowie von Browsern und Webseiten. Im Anschluss an unseren Vortrag, den wir mit zahlreichen Live-Angriffen und praktischen Beispielen möglichst anschaulich und eindrücklich gestaltet hatten, gab es noch eine interessante Diskussion, die sich von der Frage des Vertrauens in Software aus Russland bis hin zu ganz praktischen Fragestellungen bewegte. Wir danken an dieser Stelle der IHK Saarland und dem Gründer- und Mittelstandszentrum in Bexbach für die Ausrichtung der Veranstaltung.

Ein Eindruck von der Veranstaltung (Foto: Rosemarie Kappler)

Rückblick zum EDV-Gerichtstag

Die Veranstalter des EDV-Gerichtstag haben bereits ein überaus positives Fazit zur diesjährigen Fachtagung gezogen. Diesem Fazit möchten wir uns an dieser Stelle vorbehaltlos anschließen. Nicht nur das der EDV-Gerichtstag in diesem Jahr mit knapp 900 Teilnehmern erneut einen Besucherrekord aufgestellt hat, auch die „Hacking Session“ am Mittwoch, zu der wir gleich zwei Vorträge beigesteuert haben, war mit 250 Teilnehmern in diesem Jahr wieder sehr gut gesucht. In diesem Zusammenhang haben wir auch an einem Beitrag des SR zu Sicherheitsproblemen von vernetztem Spielzeug mitgewirkt. Der Beitrag ist hier abrufbar. Im Rahmen der Begleitausstellung hatten wir als Teil der Legal Tech Initative Saarland außerdem viele interessante Gespräche zur IT-Sicherheit des elektronischen Rechtsverkehrs, der Justiz und der Anwaltschaft sowie zur Umsetzung der Datenschutzgrundverordnung und konnten einige Kontakte knüpfen. Vor diesem Hintergrund möchten wir uns beim EDV-Gerichtstag für die Ausrichtung der Tagung und die Gelegenheit als Startup an dieser teilzunehmen bedanken und außerdem die Gelegenheit nutzen dem vielfachen Wunsch nach einer Veröffentlichung unserer Präsentationen nachzukommen.

Impressionen vom EDV-Gerichtstag 2018

 

Starke Präsenz auf dem EDV-Gerichtstag

Unter dem Motto „Rechtspraxis digital: Probleme bewältigen – Zukunft gestalten.“ findet vom vom 19.–21. September 2018 der 27. EDV-Gerichtstag in Saarbrücken statt. Wie in den vergangenen Jahren sind wir auch in diesem Jahr stark vertreten. Zunächst werden wir am Mittwoch im Rahmen der inoffiziellen Eröffnung des EDV-Gerichtstag durch die „Hacking Session“ mit praktischen Demonstrationen zur IT-Sicherheit gleich mit zwei Vorträge vertreten sein.

Frederik Möllers wird über die „(De-)Anonymisierung von Daten: Chan­cen und Gefah­ren der Digi­ta­li­sie­rung“ sprechen und in seinem Vortrag erläutern, warum die Anony­mi­sierung von Daten ein wich­ti­ges Werk­zeug für For­scher, aber auch für Unter­neh­men darstellt. Stefan Hessel wird den Teilnehmern unter dem Motto „‚Wis­sen, Besit­zen, Sein‘ – Grund­la­gen zur Authen­ti­fi­zie­rung“ vermitteln. Er wird dabei erklären, wel­che Anfor­de­run­gen wirk­lich an Pass­wör­ter zu stel­len sind und gibt Tipps, wie sich diese prak­tisch umset­zen las­sen. Außer­dem wer­den Alter­na­ti­ven zu Pass­wör­tern auf­ge­zeigt und dis­ku­tiert, ob diese geeig­net sind, Pass­wör­ter in der Zukunft zu erset­zen. Das vollständige Programm der Hacking Session mit einer Übersicht über die weiteren, spannenden Vorträge finden Sie auf der Webseite des EDV-Gerichtstages.

Außerdem werden wir in diesem Jahr erstmalig mit der Legal Tech Initative Saarland als Aussteller mit eigenem Stand ein Teil der Begleitausstellung sein. Schauen Sie vorbei!

Neue Entwicklungen rund um die DSGVO

Im Zusammenhang mit der Datenschutz-Grundverordnung gab es in jüngster Vergangenheit zwei Neuerungen, die wir Ihnen nicht vorenthalten wollen.

Informationspflicht nach Art. 13 DSGVO

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länger – kurz DSK – hat in einem Papier klargestellt, welchen Anforderungen die Aufklärung der Patienten einer Arztpraxis genügen muss. Die DSGVO schreibt in Art. 13 vor, dass die verantwortliche Stelle (im vorliegenden Fall die Arztpraxis) die Betroffenen (hier den Patienten) über die Datenverarbeitung und die Betroffenenrechte informiert.

Aufgrund vieler Unklarheiten und fehlender Präzisierung – etwa durch Gerichtsurteile – hat sich eine große Zahl niedergelassener Ärzte und Therapeuten dazu entschieden, die Informationen jedem Patienten auszuhändigen und sich die Kenntnisnahme durch Unterschrift bestätigen zu lassen. Dadurch ist man rechtlich abgesichert und kann im Streitfall belegen, dass der Informationspflicht nach Art. 13 DSGVO nachgekommen wurde. In einigen Fällen hatten Patienten jedoch diese Quittierung abgelehnt und keine Unterschrift abgegeben. Als Folge verweigerten ihnen die Arztpraxen die Behandlung.

Die Datenschutzkonferenz hat nun klargestellt, dass eine derartig bescheinigte Kenntnisnahme nicht zwingend erforderlich ist, um die Behandlung aufzunehmen und damit die Daten der Patienten zu verarbeiten. „Die Informationspflicht […]“ – so das Papier – „bezweckt lediglich, dass der Patientin bzw. dem Patienten die Gelegenheit gegeben wird, die entsprechenden Informationen einfach und ohne Umwege zu erhalten. Sie oder er muss diese jedoch nicht zur Kenntnis nehmen, wenn sie oder er dies nicht möchte.“

Im Ergebnis bedeutet dies eine Erleichterung gerade für kleinere Betriebe wie etwa Arzt- oder Therapiepraxen. Sichergestellt werden muss also „nur“, dass die Informationen den Betroffenen zugänglich sind und sich diese bei Interesse einfach informieren können. Hat der Betroffene sowieso kein Interesse daran, alle Informationen genau zu studieren, soll dies also nicht zum Nachteil des Verantwortlichen sein. Er kann die Daten weiterhin verarbeiten, sofern die Möglichkeit der Kenntnisnahme gewahrt bleibt.

Facebook-Seiten

Im Rahmen des selben Treffens der Datenschutzaufsichtsbehörden wurden neue Bedenken hinsichtlich des Betriebs von Facebook-Seiten (sog. „Fanpages“) laut. Wie der Rechtsanwalt Dr. Thomas Schwenke in einem Blogbeitrag nun berichtet, hat Facebook jedoch schnell reagiert und ein sog. „Page Controller Addendum“ veröffentlicht. Darin soll klar geregelt werden, welche datenschutzrechtlichen Pflichten von Facebook wahrgenommen werden und welche vom Betreiber der Fanpage. Der Blogbeitrag zählt ausführlich auf, welche Probleme damit entschärft werden und welche Schritte Seitenbetreiber unternehmen sollten, um Ärger mit Betroffenen oder den Datenschutzbehörden zu vermeiden.

Zusammenfassend sollten durch diese neue Vereinbarung die größten Probleme beseitigt werden. Nach wie vor ungeklärt ist jedoch, ob die Verarbeitung der Daten im Rahmen der „Insights“ (Analysewerkzeuge, mit denen die Besuche der Seite untersucht und aufgeschlüsselt werden können, etwa nach Herkunft und Interessengebieten der Nutzer) allgemein rechtmäßig ist. Nur dann wäre der Betrieb einer Facebook-Fanpage überhaupt mit der DSGVO vereinbar. Wer auf Nummer Sicher gehen will, wartet also besser noch die diesbezüglich laufenden Gerichtsverfahren ab.

Stellenauschreibung – IT-Hilfskraft – Psychotherapeutenkammer des Saarlandes (verlängert!)

Die Psychotherapeutenkammer des Saarlandes (PKS) sucht zum nächstmöglichen Zeitpunkt eine (studentische) Hilfskraft (m/w) für die Betreuung der IT-Infrastruktur im Umfang von ca. 5 Wochenstunden auf Minijob-Basis.

Aufgabenbereich

  • Betreuung der IT-Infrastruktur der Geschäftsstelle der PKS (2 Rechner-Arbeitsplätze) und gegebenenfalls der Geräte der Vorstandsmitglieder
  • Unterstützung bei der Verwaltung der Webseite (Typo3)
  • Beratung bei technischen Fragen und Problemstellungen
  • Allgemeine Rechercheaufgaben und Unterstützung bei Veranstaltungen

Anforderungsprofil

  • Gute IT-Kenntnisse, insbesondere Microsoft Access und Outlook sowie Windows
  • Bereitschaft, während der Öffnungszeiten der Geschäftsstelle von Montag bis Donnerstag auch kurzfristig Probleme telefonisch, per Remote-Zugriff oder vor Ort zu beheben
  • Fähigkeit, auch komplexe IT-Sachverhalte in einfachen Worten zu erklären
  • Angemessenes Kommunikationsverhalten sowie mindestens gutes Deutsch in Wort und Schrift

Was wir bieten

  • Flexible Arbeitszeiten sowie Vereinbarkeit mit dem Studium o.ä.
  • Angenehme Arbeitsatmosphäre und ein nettes Team
  • Einblick in die Arbeitsweise einer Berufskammer
  • Unterstützung durch die IT-Sicherheits- und Datenschutzexperten der Defendo GbR – Möllers & Hessel (Datenschutzbeauftragte der PKS)
  • Eine Vergütung von 11 € /Stunde
  • Das Bewerbungsverfahren läuft über die Defendo GbR – Möllers & Hessel.

Aussagekräftige Bewerbungsunterlagen (Lebenslauf und kurzes Anschreiben mit Nennung der Vorkenntnisse, speziell im IT-Bereich) sollten per E-Mail bis zum 27.07.2018 an gesendet werden. Reichen Sie die Bewerbungsunterlagen bitte als ein zusammenhängendes PDF-Dokument ein. Alle übermittelten Bewerberunterlagen werden nach Abschluss des Verfahrens gelöscht. Die Datenschutzerklärung der Defendo GbR – Möllers & Hessel finden Sie hier.

DSGVO-Konforme Webserver-Logs

In unserem heutigen Blog-Beitrag möchten wir uns einem Problem widmen, welches vor allem Betreiber kleiner Internet-Dienste betrifft. Gut sichtbar haben in den letzten Wochen und Monaten viele große Dienstleister die Datenschutzerklärungen auf ihren Webseiten angepasst. Bei einigen Anbietern wurden in diesem Zusammenhang auch mal kurzfristig die Speicherfristen für IP-Adressen in Webserver-Logs angepasst. In diesem Zusammenhang stellt sich vielleicht der ein oder andere Webseitenbetreiber die Frage: Wie steht es eigentlich um meine Webserver-Logs?

Die Defendo GbR – Möllers & Hessel hat sich diese Frage gleich zu Beginn gestellt. Ein Unternehmen, welches Datenschutz propagiert und auf diesem Gebiet Kunden berät, sollte schließlich mit gutem Beispiel voran gehen. Unsere Webseite wird auf einem eigenen Server betrieben. Ein einfaches Setup mit Debian Linux und dem Apache Webserver. Doch genau hier lauert der Fallstrick: In der Regel (und dies gilt nicht nur für Debian und Apache) werden Webserver nicht mit DSGVO-konformen Einstellungen ausgeliefert (die Einstellungen sind auch nach „altem“ deutschen Datenschutzrecht nicht konform, aber das nur am Rande). Das heißt: Wer einen Webserver installiert und damit eine Webseite betreiben will, muss (leider) selbst Hand anlegen. Denn oft speichern die Webserver IP-Adressen und Anfragen in ihren Log-Dateien, welche sie für lange oder gar unbegrenzte Zeiträume auf der Festplatte stapeln.

Dem Apache-Webserver ist beispielsweise das „Recht auf Vergessenwerden“ von Haus aus erst einmal ein Fremdwort. Log-Dateien werden unbegrenzt aufbewahrt und enthalten jede einzelne Anfrage inklusive der IP-Adresse, wie folgendes Beispiel zeigt:

192.168.0.1 - - [07/Jun/2018:12:27:59 +0200] "GET /index.html HTTP/1.1" 200 19810 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/63.0.3239.132 Safari/537.36"

Erste Abhilfe schafft bspw. das Programm logrotate, welches in jeder gut sortierten Linux-Distribution aus den Paketquellen installiert werden kann. Bei der Standard-Einstellung unter Debian wird damit die Apache-Log-Datei jeden Tag „rotiert“ und Logs, die älter als 14 Tage sind, gelöscht. Die Maximaldauer lässt sich problemlos auf 7 Tage heruntersetzen. Wenn man aus einem bestimmten Grund (etwa einer großen Anzahl Angriffe auf die Webseite) IP-Adressen unbedingt speichern muss, genügt dieser Schritt bereits. Natürlich muss dann aber auch ein entsprechender Hinweis in die Datenschutzerklärung auf der Webseite!

Ganz nach dem Gedanken der Datensparsamkeit, welcher in der DSGVO Nennung findet, möchten wir aber einen Schritt weiter gehen. Wie verhindert man, dass Apache überhaupt IP-Adressen speichert? Hierfür muss man die Seiten-Konfiguration im Apache-Verzeichnis (bspw. /etc/apache2/sites-enabled/) anpassen. Die wichtigen Konfigurationsdirektiven hier sind LogFormat und ErrorLogFormat. Das folgende Beispiel zeigt, wie die beiden Formate angepasst werden, um die IP-Adressen aus dem Log herauszulassen.

{% highlight apache %}
ErrorLogFormat „[%{u}t] [%-m:%l] [pid %P] %7F: %E: %M% , referer %{Referer}i“
ErrorLog ${APACHE_LOG_DIR}/error.log
LogFormat „%t „%r“ %>s %b“ anonymised
CustomLog ${APACHE_LOG_DIR}/access.log anonymised
{% endhighlight %}

Sollten Sie noch Fragen zum datenschutzkonformen Betrieb einer Webseite haben, schreiben Sie uns einfach! Wir sind Ihnen gerne behilflich, Ihre Webseite DSGVO-konform zu gestalten.

Eine Woche bis zur DSGVO

In einer Woche, am 25. Mai 2018, wird die Datenschutzgrundverordnung (DSGVO) anwendbar sein. Doch längst nicht alle Unternehmen sind ausreichend vorbereitet. So zeigt eine aktuelle Umfrage des IT-Branchenverbands Bitkom, dass drei von vier Unternehmen die Frist verfehlen werden. Dies liegt nicht etwa daran, dass den deutschen Unternehmern die DSGVO egal wäre, sondern vielmehr daran, dass es sich um ein hochkomplexes Regelwerk handelt und für den Laien kaum zu durchdringen ist. So sind einige Fragen zur DSGVO selbst unter Experten umstritten. Dazu zählt etwa die Frage, ob eine juristische Person zum Datenschutzbeauftragten bestellt werden kann oder ob für ein Tracking von Nutzern zukünftig eine vorherige Einwilligung notwendig ist. Letzteres behauptete, allerdings mit fragwürdiger Begründung, die Konferenz der Datenschutzbehörden kürzlich in einem Positionspapier.

Angesichts dieser zahlreichen Unklarheiten raten wir Unternehmern daher zunächst dazu, Ruhe zu bewahren. Es ist nicht damit zu rechnen, dass die Datenschutzaufsichtsbehörden am 26. Mai die Bussgeldkeule auspacken und auf kleine und mittelständische Unternehmer losgehen werden. Gleichwohl sollten Unternehmer – auch im Hinblick auf die umstrittene Frage, ob Verstöße gegen die DSGVO zu Abmahnungen nach dem UWG berechtigen – spätestens jetzt aktiv werden und mit der Umsetzung der DSGVO beginnen. Dabei empfiehlt es sich, mit den Grundlagen – wie der Erstellung eines Verarbeitungsverzeichnisses oder der Datenschutzerklärung für die Unternehmenswebseite – zu beginnen. Gerade letztere wird, sofern es zu einer Abmahnwelle kommen wird, zu einem wesentlichen Punkt bei der Compliance mit der DSGVO werden.

Vor diesem Hintergrund bietet die Defendo GbR – Möllers & Hessel aktuell zwei spannende Last-Minute-Angebote zur Vorbereitung auf die DSVGO:

  1. Die Telefonberatung zur DSGVO in der wir umfassend und individuell zur DSGVO beraten zum Preis von 90€ pro Stunde.
  2. Die Erstellung von Datenschutzerklärungen für Webseiten kleinerer und mittlerer Größe mit einem Check, ob die jeweilige Webseite technisch überhaupt mit der DSGVO konform ist, zum Pauschalpreis von 200€ pro Erklärung.

Rückblick zum Seminar bei der LMS

Am 18.April 2018 veranstaltete die Defendo GbR – Möllers & Hessel gemeinsam mit der Landesmedienanstalt des Saarlandes (LMS) das Seminar „Vernetztes Kinderzimmer“. Inhaltlich stand dabei die Digitalisierung des Kinderzimmeres und damit einhergehende Chancen und Risiken im Mittelpunkt. Neben einer ausführlichen Darstellung möglicher Angriffsszenarien könnten wir dem interessierten Publikum zahlreiche Informationen und Handlungsstratgien beim Umgang mit vernetzten Spielzeugen und anderen IoT-Geräten geben.

Im Anschluss an den Vortrag gab es noch eine spannende Diskussion über die pädagogischen Auswirkungen vernetzter Spielzeuge, sowie zum Thema „IT-Sicherheit“ allgemein.

Die Defendo GbR – Möllers und Hessel dankt der LMS für die Kooperation.

Start der Legal Tech Initative Saarland

Mit der Freischaltung der Webseite legal-tech.saarland hat die Defendo GbR – Möllers & Hessel heute die Legal Tech Initative Saarland ins Leben gerufen. Ziel der Initative ist es alle Legal Tech Akteure im Saarland, in der Großregion, aber auch darüber hinaus zu vernetzen. Ein erstes Networking-Event soll bereits am kommenden EDV-Gerichtstag in Saarbrücken stattfinden.

Weitere Informationen werden wir in den kommenden Wochen und Monaten veröffentlichen.

Der Tag der IT-Sicherheit: Ein Rückblick

Heute fand in der Congresshalle in Saarbrücken der Deutsch-Französische Tag der IT-Sicherheit 2018 statt. 28 Aussteller sowie die Forschungsinstitute CISPA und INRIA stellten einem kleinen, aber interessierten Publikum ihr Portfolio vor.

Die Defendo GbR – Möllers & Hessel demonstrierte in der Startup-Area Angriffe auf den digitalen Arbeitsplatz: Keylogger, Man-in-the-Middle, Ransomware, Industriespionage, unsichere WLANs und Social Engineering führten den Besuchern vor Augen, wo Gefahren im Arbeitsalltag lauern können. Selbstverständlich gingen wir im Rahmen der Vorführungen auch auf Schutzmaßnahmen ein, mit denen sich derartige Angriffe abwehren lassen.

Die interessierten Gäste, die trotz (oder gerade wegen) des guten Wetters ihren Weg in die Congresshallte gefunden hatten, konnten außerdem bei unserem „Phishing“-Gewinnspiel Bücher von Kevin Mitnick und einen Gutschein für eine kostenlose Beratung durch unser Unternehmen gewinnen. Wir gratulieren den glücklichen Gewinnern und wünschen viel Spaß beim Lesen!

Zu guter Letzt konnten auch wir im Zuge der Messe interessante Gespräche mit anderen Ausstellern und möglichen Kooperationspartnern führen. Wir hoffen, dass dieser Austausch auch in Zukunft erhalten bleibt und freuen uns auf eine gute Zusammenarbeit in der IT-Sicherheitsszene der Großregion!

Ein besonderes Highlight stellte auch unser neues Firmenmaskottchen „Hector“ dar, der seinen ersten großen Auftritt hatte.

Impressionen vom Tag der IT-Sicherheit